Tấn công Binance 6,3 tỷ USD: Triều Tiên liên quan tiền meme bất ngờ

Các đồng meme làm phức tạp quá trình truy tìm vụ tấn công Binance

Các đối tượng rửa tiền từ Triều Tiên đã sử dụng các đồng meme và các token ít người biết đến trên Tron, Solana và Near, theo giải thích của Tom Robinson, đồng sáng lập và nhà khoa học trưởng của Elliptic, vào ngày 9 tháng 11. Tron và Near liên quan đến các đồng tiền mới được tạo ra; Solana dựa vào các tài sản hiện có.

Robinson viết:

"Hầu hết mọi người coi các token meme là những đồng tiền đùa cợt, giá cả của chúng tăng giảm theo cơn sốt. Những kẻ rửa tiền từ Triều Tiên đã tìm ra một cách sử dụng khác cho chúng, tạo ra các token mà không ai khác muốn mua và sử dụng chúng để ngụy trang cho việc chuyển dịch các khoản tiền bị đánh cắp."

Trên Near, một nhóm đã mua các đồng tiền mới bằng tiền điện tử bị đánh cắp thông qua các bể thanh khoản token. Các ví khác bán vào cùng các bể này và thu về số tiền gần như tương ứng, tách biệt địa chỉ gửi và nhận.

Sáu loại token được tạo ra từ ngày 5 đến ngày 7 tháng 11 đã xử lý khoảng 117.000 NEAR (430.000 USD), hầu như không có giao dịch bên ngoài. Mỗi lần ra mắt tốn khoảng 90 USD. Năm nhà sáng lập đã nhận được tài trợ từ các đợt bán token trước đó ngay trước khi ra mắt các token thay thế.

Cục Điều tra Liên bang (FBI) đã quy trách nhiệm vụ trộm trên Binance tháng trước cho Triều Tiên vào ngày 31/10, xác định hoạt động này là Tradertraitor – một nhóm do nhà nước Triều Tiên tài trợ, nhắm vào các doanh nghiệp tiền điện tử.

Tuy nhiên, Triều Tiên đã phủ nhận trách nhiệm về vụ tấn công này vào ngày 3 tháng 11. Kim Yo-jong, em gái của nhà lãnh đạo Triều Tiên Kim Jong Un, gọi những cáo buộc của FBI là một “hành động khiêu khích chính trị nghiêm trọng” nhằm làm tổn hại danh tiếng của đất nước.

Vụ trộm tại Binance đã châm ngòi cho một cuộc đua chống lại việc đóng băng tài sản

Chainalysis phát hiện ra rằng các tài sản bị đánh cắp từ vụ tấn công Binance ngày 29/10 đã được trộn lẫn với số tiền thu được từ vụ trộm Bitget hồi tháng 9. Công ty này đã viện dẫn sự trùng lặp này để quy trách nhiệm vụ trộm Binance cho Tradertraitor. Đánh giá của họ dựa trên hoạt động blockchain được quan sát trong những giờ sau vụ tấn công.

Kẻ tấn công đã cố gắng tránh bị đóng băng tài khoản bằng cách chuyển đổi nhanh chóng sang stablecoin, đổi 325 triệu USD thành khoảng 285 triệu USD ether trong vòng gần 20 phút. Ether không có cơ chế đóng băng do nhà phát hành kiểm soát như các loại stablecoin khác.

Ngày 2/11, Elliptic đã phát hiện một token Tron vô giá trị được tạo ra chỉ để rửa tiền, và số solana bị đánh cắp đã được chuyển qua các token có khối lượng giao dịch thấp vào ngày hôm sau. Trước đó, Elliptic đã truy vết được ít nhất $24 triệu thông qua một kế hoạch tương tự sau vụ tấn công Bybit năm 2025.

Giải thích về phương pháp nhiều lớp này, Robinson cho biết:

"Những kẻ rửa tiền của Triều Tiên hiếm khi chỉ dựa vào một kỹ thuật duy nhất. Thay vào đó, họ kết hợp nhiều kỹ thuật đơn giản, mỗi kỹ thuật lại làm tăng thêm một chút thời gian trì hoãn. Các token meme tự tạo chỉ đơn giản là một lớp nữa mà thôi."

Hàng nghìn ví dẫn đến Bitcoin

Đến ngày 2/11, các tài sản bị đánh cắp đã đi qua khoảng 12.000 ví trên 11 chuỗi khối. Thời gian cố định và việc thử lại tự động các giao dịch thất bại mà không điều chỉnh cho thấy đây là hoạt động tự động hóa thông thường. Elliptic không tìm thấy bằng chứng nào về các quyết định do trí tuệ nhân tạo (AI) điều khiển.

Bản cập nhật ngày 7 tháng 11 ghi nhận hơn 20.000 ví, 16 chuỗi khối và ít nhất 65.000 giao dịch. Elliptic đã theo dõi việc chuyển đổi thành khoảng 2.300 bitcoin, trị giá 175 triệu USD vào thời điểm đó, từ các tài sản bao gồm Solana, XRP và Tron.

Số tiền chuyển đổi đạt khoảng 3.000 bitcoin, trị giá 225 triệu USD tính đến ngày 9/11. Elliptic cũng theo dõi khoảng 7.000 ether (trị giá khoảng 15 triệu USD) được chuyển vào Tornado Cash, một dịch vụ trộn tiền cho phép rút tiền từ các khoản tiền gửi chung sang các địa chỉ khác nhau. Công ty ước tính rằng chỉ có một lượng rất nhỏ có khả năng đã được rút ra.

Về rủi ro liên quan đến các pool giao dịch, nhà khoa học trưởng của Elliptic cảnh báo:

"Một ví nhận tiền từ một nhóm thanh khoản không nên được coi là 'sạch' theo mặc định, vì nó có thể chỉ cách các khoản tiền bị đánh cắp hai lần hoán đổi."